Cartes MIFARE DESFire EV2

Échantillons et commandes en gros de cartes DESFire EV2

Pour une installation EV2 existante, partez de la puce approuvée et de la spécification de carte. Demandez ensemble la capacité mémoire requise, le corps de carte, l'impression et l'état de livraison, afin que le devis et l'échantillon portent sur le même projet. L'approvisionnement actuel de la référence EV2 exacte et les options de cartes finies disponibles sont confirmés dans le devis.

• Corps de carte : précisez les dimensions, l'épaisseur et le matériau, par exemple une carte ID-1 (85,6 × 54 mm). Confirmez la construction proposée et la conception d'antenne ; discutez des autres formats via la page tag et porte-clés DESFire.
• Impression et finition : envoyez les visuels des deux faces, la finition, la numérotation visible, les codes-barres ou codes QR, ainsi que toute exigence de piste magnétique ou de panneau de signature. Confirmez quelles options sont incluses dans l'échantillon et le devis.
• Encodage et personnalisation : convenez d'une livraison en configuration d'usine par défaut ou avec clé de transport, ou de cartes préparées avec votre application, vos fichiers et vos autorisations. Une carte visuellement vierge n'est pas nécessairement dans un état de puce intact. Indiquez le profil de livraison requis et le schéma de numérotation, sans clés secrètes actives dans la demande de devis.
• Remise de la gestion des clés : tout chargement de clés de production est organisé séparément avec la partie responsable de l'émission, et l'encodage est effectué uniquement pour l'organisation qui administre le système.
• Échantillons et délai : des échantillons standard gratuits sont disponibles (un échantillon personnalisé entraîne des frais de mise en route), et le délai standard pour les produits standard est généralement de deux à trois semaines ; le planning et la disponibilité d'une référence EV2 précise sont confirmés dans le devis.

Comparez les exigences des cartes EV2 2K, 4K et 8K

Ce tableau compare les exigences des cartes 2K, 4K et 8K ; il ne s'agit pas de la gamme complète de mémoires EV2. La fiche technique abrégée publique de NXP répertorie également des dispositifs de 16 Ko et 32 Ko. Confirmez la référence exacte et la disponibilité actuelle des cartes finies dans le devis. Choisissez la capacité à partir du plan d'application et de fichiers de votre intégrateur, y compris l’espace mémoire occupé par les structures de gestion du système de fichiers et la croissance prévue, car la seule taille de mémoire ne rend pas les cartes interchangeables.

Les références standard répertoriées ont une capacité d'entrée de 17 pF ; les références « H » ont 70 pF, que NXP propose pour les conceptions d'antennes de petit format. La conception de l'inlay doit encore être validée dans la carte ou le tag fini. NXP spécifie une rétention des données de 25 ans et typiquement 500 000 cycles d'écriture à 22 °C dans la fiche technique abrégée ; ces chiffres de circuit intégré ne garantissent pas la durée de vie d'une carte imprimée. Envoyez la référence exacte ou la spécification de carte approuvée afin que l'échantillon puisse être vérifié par rapport au système que vous utilisez.

Compatibilité des lecteurs et des micrologiciels

Un numéro de carte affiché prouve l'identification, pas la réussite de l'authentification de l'application. Avant une commande répétée ou une migration, demandez au fournisseur du lecteur ou de la serrure de confirmer les points ci-dessous et testez la carte proposée avec le logiciel d'émission et le micrologiciel installé.

• Interface radio : le lecteur met en œuvre l'ISO/IEC 14443-2/3 Type A et le protocole de transmission ISO/IEC 14443-4 (T=CL) utilisé par DESFire. Une simple indication 13,56 MHz ne confirme pas la prise en charge de la norme 14443-4.
• Jeu de commandes : le micrologiciel prend en charge les commandes DESFire et ISO/IEC 7816-4 dont votre application a besoin — sélection de l'application, authentification, et lecture ou écriture des types de fichiers que vous utilisez — et pas seulement la lecture de l'UID.
• Messagerie sécurisée : confirmez le mode D40, EV1 ou EV2, le type de clé et les paramètres de communication des fichiers utilisés par votre application. Vérifiez chaque fonction EV2 requise par rapport au micrologiciel du lecteur et au profil de carte approuvé.
• Rétrocompatibilité : si des cartes EV1 ou D40 (MF3ICD40) sont encore sur le terrain, vérifiez que le lecteur continue de les lire parallèlement à EV2 pendant une migration.
• Clés et diversification : convenez de qui détient les clés maîtresses d'application, de la manière dont elles sont diversifiées par carte, et de la manière dont les lecteurs en sont chargés.
• Test d'échantillon : authentifiez et exécutez la transaction réelle — émission, lecture et écriture, transaction interrompue et sa récupération — avec le micrologiciel et le logiciel de lecteur de production avant toute commande en gros.

Avant de commander : liste de contrôle EV2

1. Référence EV2 exacte et capacité mémoire, ou spécification de carte approuvée par votre intégrateur ; la comparaison 2K/4K/8K de cette page ne couvre pas toute la gamme de la famille de puces.
2. S'agit-il d'une commande répétée qui doit correspondre à une spécification installée, ou d'un nouveau projet pour lequel EV3 a d'abord été évalué.
3. Marque, modèle et micrologiciel du lecteur, mode de messagerie sécurisée et type de clé, ainsi que plan d'application et de fichiers.
4. Profil de livraison : paramètres d'usine par défaut/de transport ou cartes personnalisées pour le projet, plus qui charge les clés de production, enrôle les cartes et approuve l'échantillon.
5. Construction de la carte, visuels, numérotation, quantité, destination et date requise.
6. Acceptation de l'échantillon : vérifiez l'authentification de l'application et les transactions de lecture/écriture requises sur le logiciel d'émission et les lecteurs réels ; conservez la configuration approuvée pour les commandes répétées.

Qu'est-ce que MIFARE DESFire EV2

MIFARE DESFire EV2 est un circuit intégré multi-application sans contact de NXP qui fonctionne à 13,56 MHz sur l'interface radio ISO/IEC 14443 Type A et communique avec le protocole de transmission ISO/IEC 14443-4. Les données sont conservées dans une structure d'applications et de fichiers adressée par des commandes ISO/IEC 7816-4, et les applications peuvent utiliser la cryptographie matérielle : DES, 2K3DES et 3K3DES pour la compatibilité, et AES avec des clés de 128 bits pour les conceptions actuelles. NXP indique qu'EV2 n'est pas recommandé pour les nouvelles conceptions et oriente les nouveaux projets vers DESFire EV3 ; cette page répond aux demandes concernant les installations qui le spécifient déjà. Les sections ci-dessous décrivent le circuit intégré. La disponibilité d'une référence EV2 précise, et de tout lot de cartes finies, est confirmée dans le devis.

EV1, EV2 et EV3 : ce qui a changé

Ces trois générations DESFire partagent l'interface ISO/IEC 14443 Type A à 13,56 MHz, les commandes de fichiers ISO/IEC 7816-4 et le moteur cryptographique DES/2K3DES/3K3DES/AES-128, et chaque puce plus récente conserve les modes de rétrocompatibilité des anciennes. Ce qui change entre les générations, c'est l'ensemble des fonctions de sécurité des applications et le niveau de certification. Une fonction n'est utile à votre projet que si la puce, le micrologiciel du lecteur et l'application la mettent tous en œuvre.

EV2 offre des modes de messagerie sécurisée D40 et EV1 rétrocompatibles, mais une carte de remplacement nécessite toujours la configuration d'application, les clés et la prise en charge par le lecteur attendues par le système installé. Les fonctions EV2 telles que les jeux de clés multiples, le MAC de transaction, le Proximity Check et la gestion déléguée des applications nécessitent la configuration et la prise en charge des commandes pertinentes. Demandez à l'intégrateur de confirmer et de tester les fonctions réellement utilisées par le projet.

Structure des applications et des fichiers

Une carte DESFire se comporte comme un petit système de fichiers embarqué à trois niveaux. Au sommet se trouve le PICC — la carte elle-même — qui détient la clé maîtresse de la carte, la configuration générale de la carte et la liste des applications. Chaque application est adressée par un identifiant d'application (AID) de 3 octets et porte ses propres clés et son propre ensemble de fichiers : EV1 autorise jusqu'à 28 applications, tandis qu'EV2 et EV3 suppriment la limite pratique et ne sont bornés que par la mémoire disponible. Chaque application contient jusqu'à 32 fichiers (identifiants de fichier 0x00–0x1F), et chaque fichier possède ses propres droits d'accès et son mode de communication, de sorte qu'une seule carte peut conserver côte à côte un justificatif d'accès, un porte-monnaie électronique et un titre de transport sans qu'aucun d'eux ne partage une clé.

Chaque fichier porte quatre champs de droits d'accès — lecture, écriture, lecture-et-écriture, et modification des droits d'accès — et chaque champ désigne l'une des clés de l'application, ou est défini sur « libre » (sans authentification) ou « refusé » (jamais). Les fichiers de sauvegarde, de valeur et d'enregistrements participent aux transactions : un ensemble d'écritures est mis en attente puis validé de manière atomique, de sorte qu'un passage interrompu ne laisse jamais un solde de transport ou un journal à moitié écrit.

Authentification et messagerie sécurisée

La lecture d'un UID n'authentifie pas une application DESFire. Lors de l'authentification mutuelle, la carte et le lecteur prouvent la possession de la clé requise et établissent une protection de session. Le mode d'authentification sélectionné ainsi que les paramètres d'accès et de communication de chaque fichier déterminent ce qui peut être lu, écrit ou transmis en clair. La carte, le micrologiciel du lecteur et l'application doivent mettre en œuvre la configuration convenue.

• Mode de compatibilité D40 : conservé pour les installations anciennes utilisant le schéma DES/2K3DES d'origine. Confirmez le type de clé configuré et les exigences du lecteur ; ne supposez pas que cela offre une protection AES.
• Messagerie sécurisée EV1 : AuthenticateISO prend en charge les clés 2K3DES ou 3K3DES, tandis qu'AuthenticateAES utilise des clés AES. Celles-ci conservent le mode de compatibilité EV1 correspondant.
• Messagerie sécurisée EV2 : AuthenticateEV2First et AuthenticateEV2NonFirst utilisent des clés AES. La première lance l'authentification EV2 de la transaction ; la seconde prend en charge les authentifications ultérieures au sein de cette transaction. Confirmez les commandes et paramètres requis avec l'intégrateur.

La communication des fichiers peut être en clair, protégée par une somme de contrôle cryptographique, ou chiffrée, selon l'authentification et les paramètres des fichiers. L'authentification seule ne signifie pas que chaque fichier est chiffré ni que chaque lecture exige une clé. La fiche technique abrégée publique EV2 de NXP décrit ces choix et les commandes d'authentification prises en charge ; utilisez la documentation détaillée du produit pour la mise en œuvre. La diversification des clés est traitée séparément dans la note d'application AN10922 de NXP.

Gestion des clés : clés, versions et jeux de clés

Les clés existent à deux niveaux. Le PICC détient une clé maîtresse de carte qui régit la gestion au niveau de la carte. Chaque application peut contenir jusqu'à 14 clés et possède ses propres paramètres de clés et droits d'accès aux fichiers. Les informations de version de clé aident un émetteur à gérer les mises à jour, mais elles ne remplacent ni la clé secrète ni les autorisations requises. Confirmez la procédure ChangeKey ou ChangeKeyEV2 sélectionnée par rapport à la configuration exacte de l'application.

EV2 prend en charge plusieurs jeux de clés par application, ce qui permet à l'émetteur de préparer et de basculer vers un autre jeu de clés lorsque le parc de lecteurs prend en charge ce processus. Un intégrateur peut utiliser une diversification par carte, comme le schéma de la note AN10922 de NXP, avec un stockage protégé de la clé maîtresse dans un HSM ou un SAM. Il s'agit d'une décision de conception de déploiement, et non d'une propriété automatique d'une carte vierge. Convenez de qui crée, détient et charge les clés et de la manière dont les lecteurs obtiennent les éléments d'authentification requis avant de commander. Ne mettez pas de clés secrètes actives dans une demande de devis.

Le jeu de commandes DESFire

DESFire prend en charge les commandes natives et l'encapsulation ISO/IEC 7816-4 sur ISO/IEC 14443-4. L'aperçu ci-dessous aide à identifier ce que la pile du lecteur doit mettre en œuvre ; il ne s'agit pas d'une spécification d'encodage. La fiche technique abrégée publique EV2 de NXP répertorie les familles de commandes, et la documentation détaillée du produit définit leurs paramètres et exigences de sécurité. La configuration de la carte, le micrologiciel du lecteur et l'application doivent prendre en charge les opérations sélectionnées par l'intégrateur.

Certification de sécurité

Les générations diffèrent également par leur évaluation Common Criteria ainsi que par leurs fonctions. La documentation publique de NXP évalue DESFire EV1 à Common Criteria EAL4+ et EV2 comme EV3 à EAL5+ — le matériel et le système d'exploitation d'EV3 sont évalués à EAL5+ augmenté d'AVA_VAN.5. La certification couvre la puce et son système d'exploitation, et non une carte finie ou un déploiement : une carte laissée avec des clés par défaut n'est pas sécurisée quel que soit le niveau de la puce. Considérez le niveau EAL comme un élément parmi d'autres d'une exigence d'appel d'offres et confirmez la référence certifiée exacte avec votre intégrateur.

Pourquoi passer de MIFARE Classic à DESFire

MIFARE Classic utilise Crypto-1, dont les faiblesses de sécurité publiées font qu'il ne doit pas être considéré comme équivalent à l'authentification d'application AES moderne. Une installation qui autorise une carte à partir de son seul UID pose également un problème distinct : l'UID est un identifiant, et non la preuve que la carte détient un secret d'application. Évaluez à la fois la technologie de justificatif et le comportement réel d'authentification du lecteur lors de la planification d'une migration.

DESFire prend en charge l'authentification mutuelle AES-128 et des autorisations de fichiers configurables ainsi qu'une protection de communication. La seule copie d'un UID ne reproduit pas une application authentifiée, mais l'installation d'une puce DESFire ne sécurise pas automatiquement le système. Des fichiers configurés pour un accès libre ou une communication en clair peuvent exposer des données ; des clés par défaut et des clés d'émetteur mal protégées affaiblissent également le déploiement. Configurez les droits d'accès de l'application, la messagerie sécurisée et la gestion des clés, et faites en sorte que le lecteur authentifie l'application. Le Random ID peut réduire la divulgation de l'UID fixe lors de la sélection de la carte ; il ne remplace pas l'authentification et ne garantit pas qu'une carte ne peut pas être suivie.

• Micrologiciel du lecteur : faites passer les lecteurs à une version qui authentifie l'application DESFire avec les clés du projet, plutôt que d'accepter l'UID.
• Cérémonie des clés : générez les clés maîtresses dans un HSM ou un SAM, choisissez le schéma de diversification AN10922, et consignez qui détient et charge les clés avant l'encodage de la première carte.
• Période bi-technologie : utilisez des lecteurs multi-technologies qui acceptent ensemble les cartes anciennes et les nouvelles cartes DESFire, réémettez les cartes au fil de l'attrition naturelle, puis fixez une date ferme pour désactiver les anciens types de cartes dans le logiciel d'accès afin que les anciens clones cessent de fonctionner.

Pour un nouveau système, NXP oriente les conceptions vers DESFire EV3 ; commandez EV2 pour correspondre à une installation qui le spécifie déjà, et considérez tout changement de génération comme un changement de la spécification approuvée. Consultez les cartes MIFARE Classic, la famille MIFARE DESFire et les cartes MIFARE Plus pour les options de migration.

Choix associés : famille MIFARE DESFire, cartes MIFARE Plus, le tag et porte-clés DESFire et toutes les cartes RFID.

Références techniques : page produit et cycle de vie NXP MIFARE DESFire EV2, la fiche technique abrégée DESFire EV2 et la page NXP DESFire EV3. La documentation des puces décrit les capacités des circuits intégrés ; elle n'établit ni le stock de Proud Tek ni la compatibilité d'une carte finie.